GReAT, bir Asya ülkesinde yalnızca kamu kurumları tarafından kullanılan özelleştirilmiş bir Windows 10 sürümünü hedef alan siber saldırıyı gün yüzüne çıkardı. Saldırganlar, meşru yazılım bileşenlerinden faydalanarak daha önce bilinmeyen “NetamLoader” adlı kötü amaçlı yazılım altyapısını devreye soktu. Bu altyapı, faaliyetlerini gizlerken arka planda ek zararlı kodları alıp çalıştırma kabiliyetine sahip.
Güvenlik uzmanları, tehdit izleme ağı üzerinden saldırının bir kurbanını tespit etti. Saldırıyı bilinen herhangi bir tehdit grubuyla ilişkilendiremedi. Zararlı yazılım, söz konusu işletim sistemine özel olarak geliştirildi. Yaptığı işlemler arasında, sistemin kendi güncelleme bileşenine ait günlük kayıtlarındaki belirli girdileri silmek de bulunuyor.
Araştırma, 2026’nın ilk yarısında Windows güncelleme klasöründe bulunan bir arşiv dosyasının içindeki şüpheli bir yapılandırma dosyasını tespit etmesiyle başladı. Arşivdeki programların çoğu, üçüncü taraf yama yönetimi aracı Patch My PC’nin bileşenleri ve Microsoft tarafından imzalanmış bir modül de dahil olmak üzere meşru yazılımlardı. Saldırganlar, değiştirilmiş yardımcı dosyalar aracılığıyla bu yazılımların zararlı talimatları yüklemesini sağladı.
Arşivin bulunduğu konum ve içeriği, saldırganların hedeflerine ulaşmak için yazılımların dağıtım veya güncelleme süreçlerini kötüye kullandığı olası bir yazılım tedarik zinciri saldırısına işaret ediyor. Araştırmacılar, arşivin kurbanın sistemine nasıl ulaştığını gözlemleyemedi. Ayrıca elde edilen bulgular, Patch My PC’nin veya yazılımın dağıtım sistemlerinin ele geçirildiğini göstermiyor.
NetamLoader, zararlı içeriğini birden fazla kodlama, sıkıştırma ve şifreleme katmanından geçirerek açığa çıkarıyor. Ardından yürütmeyi meşru bir Windows sürecine taşıyarak zararlı faaliyetin ilk programla ilişkilendirilmesini zorlaştırıyor. Zararlı yazılım çerçevesi ayrıca kötü amaçlı yazılım tarama işlevlerinden birine müdahale ediyor ve araştırmacıların saldırıyı yeniden oluşturmasına yardımcı olabilecek dosyaları siliyor.
NetamLoader etkinleştikten sonra, ek talimatlar ve yapılandırma değişiklikleri almak için saldırganların kontrolündeki bir sunucuyla iletişim kuruyor. Araştırmacıların incelediği yapılandırma dosyasında, ilk bağlantı kurulmadan önce 20 ila 40 dakikalık bir bekleme süresi bulunuyor. Sunucudan geçerli bir yanıt alınamazsa zararlı yazılım, yeniden denemeden önce 22 ila 28 saat bekliyor. Bu gecikmeler nedeniyle kısa süreli izleme oturumlarında incelenebilecek ağ etkinliği çok sınırlı kalabiliyor.
